Warum die Risikoanalyse das Herzstück der ISO 27001 ist

Die Risikoanalyse ist einer der zentralen Bausteine der ISO/IEC 27001. Sie entscheidet darüber, welche Sicherheitsmaßnahmen ein Unternehmen tatsächlich umsetzen muss. Während viele Unternehmen Informationssicherheit zunächst mit technischen Lösungen wie Firewalls oder Antivirus verbinden, verfolgt die ISO 27001 einen anderen Ansatz:

Nicht die Technik steht im Mittelpunkt – sondern das Risiko.

Die Norm fordert, dass Unternehmen ihre Informationssicherheitsrisiken systematisch identifizieren, bewerten und behandeln.

Dieser Artikel erklärt:

• was eine Risikoanalyse nach ISO 27001 ist
• wie der Prozess aufgebaut ist
• welche Methoden verwendet werden
• welche typischen Fehler auftreten
• und wie daraus konkrete Sicherheitsmaßnahmen entstehen

 

Was bedeutet Risikoanalyse nach ISO 27001?

Die Risikoanalyse ist ein strukturierter Prozess zur Bewertung von Informationssicherheitsrisiken.

Dabei wird untersucht:

• Welche Werte (Assets) sind schützenswert?
• Welche Bedrohungen existieren?
• Welche Schwachstellen bestehen?
• Wie wahrscheinlich ist ein Angriff oder Vorfall?
• Welche Auswirkungen hätte dieser?

Das Ergebnis ist eine nachvollziehbare Risikobewertung, die als Grundlage für alle weiteren Sicherheitsmaßnahmen dient.

 

Der risikobasierte Ansatz der ISO 27001

Die ISO 27001 schreibt keine festen Sicherheitsmaßnahmen vor.

Stattdessen gilt:

Unternehmen müssen ihre Risiken selbst bewerten und passende Maßnahmen auswählen.

Dieser Ansatz hat mehrere Vorteile:

• individuelle Sicherheitsstrategie statt Standardlösung
• bessere Priorisierung von Maßnahmen
• effizienter Einsatz von Ressourcen
• nachvollziehbare Entscheidungen für Audits

 

Schritte der Risikoanalyse nach ISO 27001

Die Risikoanalyse folgt in der Praxis typischerweise einem strukturierten Ablauf.

 

1. Identifikation von Assets

Zuerst wird ermittelt, was geschützt werden muss.

Typische Assets sind:

• Kundendaten
• Geschäftsprozesse
• IT-Systeme
• Cloud-Dienste
• Produktionsanlagen
• Wissen und Dokumente

Ohne vollständige Asset-Liste ist keine sinnvolle Risikoanalyse möglich.

 

2. Identifikation von Bedrohungen

Im nächsten Schritt werden mögliche Gefahren betrachtet.

Beispiele:

• Phishing und Social Engineering
• Ransomware
• Insider-Angriffe
• Systemausfälle
• Datenverlust
• Fehlkonfigurationen

 

3. Identifikation von Schwachstellen

Schwachstellen sind die Angriffspunkte im Unternehmen.

Beispiele:

• fehlende Multi-Faktor-Authentifizierung
• veraltete Systeme
• unzureichende Berechtigungen
• fehlende Schulungen
• offene Netzwerke

 

4. Bewertung der Eintrittswahrscheinlichkeit

Hier wird eingeschätzt, wie wahrscheinlich ein Risiko ist.

Typische Faktoren:

• Häufigkeit von Angriffen
• bestehende Schutzmaßnahmen
• Angreifbarkeit des Systems
• menschliche Faktoren

 

5. Bewertung der Auswirkungen

Hier wird analysiert, was im Schadensfall passiert.

Mögliche Auswirkungen:

• finanzielle Verluste
• Produktionsausfälle
• Datenverlust
• Reputationsschäden
• rechtliche Konsequenzen

 

6. Risikobewertung

Aus Wahrscheinlichkeit und Auswirkung entsteht das Gesamtrisiko.

Typischerweise wird eine Risikomatrix verwendet:

• niedrig
• mittel
• hoch
• kritisch

 

Risikobehandlung nach ISO 27001

Nach der Bewertung müssen Risiken behandelt werden.

Die Norm kennt vier Strategien:

 

Risiko vermeiden

Das Risiko wird vollständig eliminiert.

Beispiel:

Ein unsicherer Dienst wird nicht eingesetzt.

 

Risiko reduzieren

Das Risiko wird durch Maßnahmen verringert.

Beispiele:

• MFA einführen
• Firewalls einsetzen
• Schulungen durchführen
• Patch-Management verbessern

 

Risiko übertragen

Das Risiko wird ausgelagert.

Beispiele:

• Cyberversicherung
  Outsourcing an Dienstleister

 

Risiko akzeptieren

Das Risiko wird bewusst getragen.

Dies ist nur zulässig, wenn das Restrisiko akzeptabel ist.

 

Verbindung zur ISO 27001 Controls (Annex A)

Die Ergebnisse der Risikoanalyse bestimmen direkt, welche Sicherheitsmaßnahmen umgesetzt werden.

Diese Maßnahmen stammen aus dem Annex A der ISO 27001.

Dazu gehören unter anderem:

• Zugriffskontrollen
• Kryptographie
• Netzwerksicherheit
• Incident Management
• Lieferantensicherheit
• physische Sicherheit

Die Auswahl wird im Statement of Applicability (SOA) dokumentiert.

 

Typische Fehler bei der Risikoanalyse

1. Zu oberflächliche Bewertung

Risiken werden nur allgemein beschrieben, ohne konkrete Analyse.

 

2. Fehlende Assets

Wenn nicht bekannt ist, was geschützt werden muss, ist die Analyse unvollständig.

 

3. Keine realistische Bewertung

Risiken werden zu niedrig oder zu hoch eingeschätzt.

 

4. Keine regelmäßige Aktualisierung

Risiken verändern sich durch neue Technologien und Bedrohungen.

 

5. Fehlende Verbindung zu Maßnahmen

Risiken werden analysiert, aber nicht in konkrete Controls übersetzt.

 

Risikoanalyse und Business Impact Analysis (BIA)

Die Risikoanalyse betrachtet einzelne Bedrohungen.

Die BIA ergänzt diese Sicht um die Geschäftsprozesse.

Dabei wird bewertet:

• welche Prozesse kritisch sind
• welche Ausfallzeiten tolerierbar sind
• welche Abhängigkeiten bestehen

Beide Methoden zusammen bilden die Grundlage eines belastbaren ISMS.

 

Dokumentation der Risikoanalyse

Die ISO 27001 verlangt eine nachvollziehbare Dokumentation.

Typische Inhalte sind:

• Risikokatalog
• Bewertungsmethoden
• Risikomatrix
• Maßnahmenplan
• Rest-Risiken

Diese Dokumentation ist auditrelevant.

 

Resümee

Die Risikoanalyse ist ein zentrales Element der ISO/IEC 27001. Sie verbindet Geschäftsprozesse, IT-Systeme und Bedrohungen zu einem strukturierten Modell. Nur auf dieser Basis lassen sich wirksame Sicherheitsmaßnahmen ableiten. Eine sorgfältige Risikoanalyse schafft die Grundlage für ein auditfähiges und praxisnahes ISMS.

 

Unser Angebot für Sie:

• Gap-Analyse und Bewertung Ihres ISMS nach ISO 27001
• Aufbau oder Anpassung von Risiko- und Sicherheitskonzepten
• Unterstützung bei Incidents, Lieferanten und Datenschutz (DSGVO)
• Vorbereitung auf ISO 27001 Audits und Nachweise
• Schulungen für Management und technische Teams

 

Kontaktieren Sie uns noch heute!
Für ein unverbindliches Erstgespräch – wir beraten Sie
zu ISO 27001, IT-Sicherheit und Datenschutz.

Sichere TISAX-Implementierung mit tec4net
https://www.tec4net.com/web/tisax-informationssicherheit-in-der-automobilindustrie/

Offizielle TISAX-Seite der ENX Association
https://enx.com/en-US/tisax/

ISO/IEC 27001:2022 – Grundlagen und Normenübersicht
https://www.iso.org/standard/27001

Fragen und Antworten zu KRITIS und NIS-2
https://www.tec4net.com/web/category/wissen-nis-2/

Risikomanagement und Business Continuity nach ISO 22301
https://www.iso.org/standard/50038.html

Datenschutz-Grundverordnung (DSGVO) – offizielle Informationen
https://eur-lex.europa.eu/eli/reg/2016/679/oj

Beratung zu ISO 27001, TISAX, KRITIS und NIS-2 mit tec4net
https://www.tec4net.com/web/it-security/